1.5테라바이트(TB) 용량의 외장하드에 해킹으로 수집한 개인·금융정보를 저장해온 이모(42)씨. 대규모 정보 유출 사건을 일으킨 이씨가 애초에 노린 것은 시중 대형은행 계좌에 담긴 돈이었다.  
 

이씨는 지난해 6월 A은행 내부 전산망에 악성코드를 심으려다 적발됐다. 이런 이씨의 해킹 시도는 한 번이 아니었다. 중앙일보가 입수한 서울중앙지방법원 1심 판결문에 따르면 이씨는 이전에도 A은행 해킹을 시도했고 실제로 내부 전산망에 접근하는 데 성공했다. 당시 이씨를 도운 사람은 은행 직원이었다. 그러나 이씨는 두 번째 해킹 시도에서 ‘가짜 은행 직원’에게 꼬리가 잡혔다.
 

두 차례에 걸친 이씨의 해킹 시도는 모두 “은행 직원을 소개시켜 달라”로 시작됐다.
 
첫 번째 범행은 2017년으로 거슬러 올라간다. 이씨는 지인에게 “은행 프로그램을 하나 만들었는데 대박이다”며 “이 프로그램으로 중간에 돈을 빼 내서 해외에서 인출할 수 있다”고 설명했다. 이어 “은행 직원을 소개해 줄 수 있겠느냐”고 요청했다. 이씨는 자신이 만든 프로그램을 은행 전산망을 사용하는 컴퓨터에 설치해줄 조력자가 필요했던 것이다.
 
지인을 통해 이씨는 A은행 군산지점에 근무하는 여직원을 소개받았다. 이씨는 A은행 사내 메일 주소로 그와 연락을 주고받으며 정보 수집 프로그램을 은행 내부 전산망에 반입했다. 프로그램이 실행되면 은행 내부 자료가 별도의 파일로 저장됐다. 이씨는 해킹 프로그램에 A은행 로고를 사용해 공식 프로그램으로 위장했다. 금융보안원은 수사과정에서 해당 프로그램으로 내부 금융거래정보가 외부로 일부 유출된 사실을 확인했다. 자료 유출은 2017년 10월부터 2018년 4월까지 이어졌다.
 

삽화=김회룡기자aseokim@joongang.co.kr

A은행 내부 전산망에 접근해 정보를 수집한 이씨는 본격적으로 은행계좌에서 돈을 빼내기 위한 작업에 들어갔다.
 
2019년 4월 베트남 호치민시의 한 식당에서 이씨는 서모씨를 만난다. 이 자리에서 이씨는 “내가 A은행 보안프로그램도 개발했었고 내부 시스템을 잘 알고 있다” 며 “직접 만든 프로그램을 은행 컴퓨터에 설치하면 돈을 뺄 수 있다”고 말하며 서씨에게 공모를 제의했다. 이어 “혹시 은행 직원을 아는 사람이 있느냐”고 물어봤다.  
 
범행에 가담할 A은행 직원을 구하기 위해 서씨는 지인인 박모씨에게 텔레그램으로 “A은행 직원을 알아봐 달라”며 “작업이 성공하면 수익금을 나누어 주겠다”고 제안했다. 이씨는 해킹 프로그램 개발, 서씨는 해킹으로 취득한 자금 인출 및 세탁, 박씨는 A은행 직원 물색 등 서로 역할을 분담해 해킹 범행을 공모했다.  
 
박씨는 수소문 끝에 A은행 직원 류모씨를 알게 됐고 이씨와 서씨에게 “은행 직원이 준비되었으니 직접 만나보라”고 연락했다.  
첫 접선은 2019년 6월 서울 중구의 한 커피숍에서 이뤄졌다. 이 자리에서 서씨는 류씨에게 “작년에 은행 여직원을 통해 A은행 전문을 모두 확보해 놓은 상태라서 작업이 수월하다”고 말하며 범행 가담을 제안했다. 이후 류씨와 한 차례 더 만난 자리에서 구체적인 해킹 범행 방법을 설명해주고 실행 계획을 세웠다.  
 

삽화=김회룡기자aseokim@joongang.co.kr

착실히 진행되던 해킹 계획은 세 번째 만남에서 반전이 이뤄졌다. 이 자리에서 이씨는 류씨의 A은행 사내 메일 주소로 프로그램을 전송했다. 이씨가 보낸 것은 은행 급여 프로그램으로 가장된 해킹에 사용될 악성 프로그램이었다. 구체적인 혐의가 확정되는 순간이었다.
 
이날 이후 이씨와 서씨, 박씨는 정보통신망법 위반 혐의로 검거됐다. 류씨가 A은행 직원으로 위장한 경찰관이었기 때문이다. 경찰은 박씨가 범행에 협력할 은행원을 찾는 과정에서 관련 첩보를 입수하고 은행 직원으로 위장한 경찰을 투입해 이들에게 접근한 것이었다. 수사과정에서 2017년 이씨의 A은행 해킹 범행도 함께 밝혀졌다.  
 

삽화=김회룡기자aseokim@joongang.co.kr

구속 기소된 피고인들은 서울중앙지법 형사19단독(김성훈 부장판사) 심리로 열린 공판에서 경찰이 함정수사를 했다고 반발했다. 수사기관이 범죄를 유도해 적발하는 ‘범의 유발형’ 함정수사는 대법원 판례에서 위법하다고 보기 때문이다. 변호인은 은행 직원으로 위장한 경찰의 행동이 이에 해당한다고 주장했다. 그러나 재판부는 류씨가 접근하기 전부터 피고인들이 이미 범행을 저지를 계획을 세우고 의사를 형성한 점에 주목했다. 김 부장판사는 "함정수사로 볼 수 없다"며 지난 1월 9일 이씨와 서씨, 박씨에게 모두 실형을 선고했다.

 
지난 14일 서울지방경찰청 보안수사대는 이씨의 추가 범행을 수사하는 과정에서 이씨가 소유한 1.5TB 용량의 외장하드 속에 해킹으로 수집한 개인·금융정보가 저장된 것을 확인하고 수사 중이라고 밝혔다. 구체적인 유출 규모와 피해 사례는 아직 확인되지 않았다.